1. 课程导论：MTTR 定义与重要性、日志检索在故障恢复中的角色、准入门禁的概念与目标
1.1 MTTR 定义与重要性
MTTR（Mean Time to Repair，平均修复时间）是衡量系统从故障发生到完全恢复所消耗平均时间的核心可靠性指标。它直接决定了故障对业务的影响时长，是 SRE 团队最关键的 SLA/SLO 度量之一。
| MTTR 阶段 | 定义 | 典型耗时占比 |
|---|---|---|
| MTTD（平均发现时间） | 从故障发生到监控告警触发的时间 | 10% – 20% |
| MTTI（平均定位时间） | 从告警到确定根因的时间 | 40% – 60% |
| MTTK（平均修复时间） | 从确定根因到完成修复的时间 | 20% – 30% |
| MTTV（平均验证时间） | 从修复完成到确认业务恢复的时间 | 10% – 15% |
关键洞察： 在 MTTR 的四个子阶段中，MTTI（平均定位时间） 占比最高，通常超过 50%。这意味着，缩短故障定位时间是降低 MTTR 最有效的杠杆，而日志检索正是定位环节的核心工具。
行业基准： 顶级互联网企业的 MTTR 目标通常为 5–15 分钟；传统企业普遍在 30–120 分钟。每缩短 10% 的 MTTR，可减少约 8%–12% 的业务损失（基于 Gartner 模型）。
1.2 日志检索在故障恢复中的角色
日志是系统运行状态的“黑匣子”，日志检索能力直接决定了故障定位的效率。在故障恢复流程中，日志检索承担以下关键角色：
- 故障发现辅助： 通过日志异常检测，补充监控指标的盲区，提前发现隐蔽故障。
- 根因定位核心： 提供错误栈、请求链路、状态变更等关键证据，帮助工程师快速缩小排查范围。
- 影响范围评估： 通过检索特定错误码、用户 ID、服务实例等维度，量化故障影响面。
- 修复验证： 修复后检索日志确认错误消失、流量恢复，形成闭环。
1.3 准入门禁的概念与目标
日志检索准入门禁是指在日志检索系统入口处设置的一系列质量、安全与效率控制规则。它类似于代码仓库的 CI 门禁，但针对的是日志数据的采集、存储、索引与查询行为。
| 门禁维度 | 控制内容 | 典型规则 |
|---|---|---|
| 数据质量门禁 | 日志格式、字段完整性、时间戳规范 | 必须包含 @timestamp、service、level 字段；日志大小 ≤ 10KB/条 |
| 索引效率门禁 | 索引策略、分片数、生命周期 | 每日索引 ≤ 50 个分片；保留周期 ≤ 30 天 |
| 查询安全门禁 | 查询语句复杂度、并发数、超时控制 | 单次查询 ≤ 30 秒；并发 ≤ 20 个；禁止通配符前缀查询 |
| 成本控制门禁 | 存储用量、计算资源、冷热分层 | 单服务日志 ≤ 500GB/天；热数据 ≤ 7 天 |
常见误区： 很多团队将准入门禁等同于“限制”，导致业务方抵触。实际上，准入门禁的核心目标是 “在保障检索效率的前提下，最大化日志数据的可用性”。好的门禁设计应该让 80% 的查询在 5 秒内返回结果，同时将存储成本降低 40% 以上。
1.4 准入门禁的迭代优化目标
本课程的核心目标是：通过持续迭代日志检索准入门禁，实现 MTTR 的显著降低。具体优化目标如下：
- MTTI 缩短 50%： 从平均 15 分钟降至 7.5 分钟以内。
- 查询成功率提升至 99.9%： 减少因门禁限制导致的查询失败或超时。
- 存储成本降低 30%： 通过门禁控制无效日志、重复日志和过度保留。
- 检索体验标准化： 所有服务统一日志格式，消除“查不到、看不懂、查得慢”问题。
课程路线图： 本课程将按照“现状评估 → 门禁设计 → 迭代优化 → 效果度量”的闭环，逐步讲解如何构建一套可落地、可量化的日志检索准入门禁体系。每章均包含真实案例、代码实现与效果数据。